BLOG: Zo maakt jouw organisatie veilig gebruik van de cloud

Steeds meer organisaties maken gebruik van cloudoplossingen. Wat zijn de veiligheidsrisico's? Waar moet je op letten als je clouddiensten gebruikt? Ruben Grijpstra, adviseur bij L2P, geeft de antwoorden.

Je wilt als organisatie je gegevens veilig bewaren. Voorheen stonden software en bestanden opgeslagen op een computer of een lokale server. Tegenwoordig staan ze vaak in de cloud. Via internet zijn de gegevens altijd en overal toegankelijk voor je organisatie.

Bij een cloudoplossing maak je gebruik van de opslagruimte van een externe leverancier. Bijvoorbeeld van Google Cloud en Microsoft Azure. De cloudprovider zorgt voor de opslag van informatie en bestanden, van de digitale infrastructuur tot de beveiliging van de data.

Voordelen en risico's van de cloud

Voor veel organisaties is een cloudservice goedkoper dan eigen beheer van data-opslag. Je hoeft bijvoorbeeld geen hardware aan te schaffen en te onderhouden. Ook de toegankelijkheid is een voordeel. Met de opmars van thuiswerken, is het van belang dat data goed toegankelijk zijn voor medewerkers, ongeacht de locatie waar ze werken. De cloud maakt het mogelijk.

Het gebruik van de cloud brengt ook risico’s mee.

• Bij een cloudoplossing vertrouw je erop dat de leverancier de informatiebeveiliging op orde heeft. Een cloudprovider
   neemt maatregelen tegen digitale dreigingen zoals ransomware en datalekken. Je wilt voorkomen dat gegevens
   plotseling niet meer toegankelijk zijn, of in verkeerde handen vallen.

• In een aantal landen, waaronder de Verenigde Staten, zijn cloudleveranciers wettelijk verplicht om gegevens te
   delen met overheidsinstanties als deze daartoe verzoeken. Deze verplichting geldt ook voor servers die in de
   Europese Unie zijn gevestigd. Daardoor zijn gegevens die je bewaart in de cloud niet automatisch beschermd tegen
   overheidsinmenging.

• Het is mogelijk dat de overeenkomst tussen een cloudprovider en een organisatie eindigt. Je kunt zelf het besluit
   nemen om over te stappen naar een andere leverancier. Maar er zijn ook gevallen bekend waarin een
   clouddienstverlener de samenwerking stopzet. De vraag is dan hoe je de data uit de cloud efficiënt en veilig
   overbrengt naar een andere (digitale) locatie. Een vooraf doordachte exit-strategie vermindert het risico dat
   gegevens tijdelijk ontoegankelijk zijn.

Veilig in de cloud

Voor veel organisaties zijn clouddiensten een betrouwbare manier om data te bewaren en om gegevens en documenten toegankelijk te maken voor medewerkers. Toonaangevende cloudleveranciers beschikken over een state of the art aanpak van informatiebeveiliging, die voor organisaties vaak niet haalbaar en betaalbaar is.

De veiligheidsrisico’s betekenen dat je als organisatie ook zelf actie moet ondernemen om cloudgebruik verantwoord en veilig te maken.

• Een cloudomgeving is via internet overal toegankelijk. Daarom zijn goede authenticatiemaatregelen noodzakelijk.
   Denk aan het gebruik van een sterk wachtwoord en multi-factor authenticatie. Daarnaast is het van belang dat je
   de toegangsrechten van medewerkers regelmatig controleert, en zo nodig aanpast.

• De meeste data van je organisatie zijn vertrouwelijk. Het is belangrijk om kritisch te kijken naar de data die je in de
   cloud zet. Staat het voortbestaan van je organisatie onder druk als een document terecht komt bij een externe
   partij? Dan is een offline opslaglocatie misschien beter dan de cloudomgeving.

Just someone else's computer

Het mag duidelijk zijn: de cloud heeft voor organisaties voor- én nadelen. Daarom is het verstandig om na te gaan onder welke voorwaarden je cloudservices wilt gebruiken. In hoeverre zijn medewerkers afhankelijk van toegang tot de cloud? Hoe kan je anticiperen op een situatie waarin gegevens - onverwacht - niet beschikbaar zijn?

De veiligheid van de data, beveiliging en software van je organisatie is uiteindelijk een verantwoordelijkheid die je niet zomaar overdraagt aan een externe dienstverlener. In essentie is de cloud immers, zoals vaak wordt gezegd "just someone else's computer".